{"id":51871,"date":"2026-09-11T11:37:40","date_gmt":"2026-09-11T09:37:40","guid":{"rendered":"https:\/\/overcentral.com\/de\/?p=51871"},"modified":"2026-09-11T11:37:40","modified_gmt":"2026-09-11T09:37:40","slug":"jfrog-artifactory-schwachstellenkette-51871","status":"publish","type":"post","link":"https:\/\/overcentral.com\/de\/jfrog-artifactory-schwachstellenkette-51871\/","title":{"rendered":"Hacker-Kette aus JFrog Artifactory L\u00fccken erm\u00f6glicht Admin-Zugriff und Backdoor"},"content":{"rendered":"

Eine Kette aus zwei Sicherheitsl\u00fccken in JFrog<\/a> Artifactory<\/strong>, dem Repository, aus dem Software-Build-Pipelines ihre Abh\u00e4ngigkeiten beziehen, hat Angreifern erm\u00f6glicht, auf selbst gehosteten Servern die Administrator-Kontrolle zu \u00fcbernehmen und Hintert\u00fcren zu installieren. Das berichtet die Cloud-Sicherheitsfirma Wiz auf Grundlage von Angriffen, die zwischen dem 15. August und dem 8. September beobachtet wurden. JFrog hatte beide Schwachstellen bereits vor diesem Zeitraum geschlossen, sodass nur nicht aktualisierte Server angreifbar waren.<\/p>\n

Die Schwachstellenkette im Detail<\/h2>\n

Keine der beiden L\u00fccken verschafft f\u00fcr sich allein volle Administratorrechte. Die Angreifer nutzten sie nacheinander aus. Die erste Schwachstelle, CVE-2026-42018<\/strong>, bewirkt, dass Artifactory einem nicht authentifizierten Aufrufer ein internes Token des anonymen Benutzers aush\u00e4ndigt \u2013 selbst wenn der anonyme Zugriff deaktiviert ist. Dieses Token besitzt nur geringe Privilegien.<\/p>\n

Die zweite L\u00fccke, CVE-2026-42016<\/strong>, erlaubt es dann, dieses niedrig privilegierte Token gegen eines mit Administrator-Umfang einzutauschen. Der Grund: Artifactory pr\u00fcft zwar die Signatur des Tokens und wer es ausgestellt hat, aber nicht, welche Aktionen das Token eigentlich erlauben darf. Dadurch kann ein Token des anonymen Benutzers auf die Administrator-Ebene gehoben werden.<\/p>\n

Der dadurch erlangte Administrator-Token beh\u00e4lt den Benutzernamen anonymous<\/strong>. Alle damit ausgef\u00fchrten Aktionen erscheinen in den Logs als token:anonymous<\/strong> und lassen sich keinem realen Konto zuordnen.<\/p>\n

Ablauf der Angriffe<\/h2>\n

Jeder von Wiz dokumentierte Fall folgte dem gleichen Muster: Der Angreifer sendete eine unauthentifizierte Anfrage an einen Token-Endpunkt und erhielt ein Token f\u00fcr den internen anonymen Benutzer. Im n\u00e4chsten Schritt tauschte er dieses Token an Artifactorys Endpunkt zur Token-Erstellung gegen ein Token mit Administrator-Umfang. In einigen F\u00e4llen vergingen vom ersten Request bis zur Erstellung eines neuen Administratorkontos weniger als f\u00fcnf Minuten.<\/p>\n

Die Angriffskette betrifft nur jene Server, die beide L\u00fccken aufweisen \u2013 das Schlie\u00dfen einer einzigen unterbricht die Kette. Nach den ver\u00f6ffentlichten Versionstabellen von JFrog endet der betroffene Bereich f\u00fcr CVE-2026-42016 bei Version 7.133.11. Die Branches 7.146 und 7.161 liegen au\u00dferhalb dieses Bereichs.<\/p>\n

JFrog lieferte den Fix f\u00fcr CVE-2026-42018 im Branch 7.146 am 28. April aus, im Branch 7.133 am 12. August \u2013 drei Tage bevor die von Wiz beobachteten Angriffe einsetzten.<\/p>\n

Die Angreifer nutzten ihre Administratorrechte unterschiedlich. In allen F\u00e4llen erstellten sie Administratorkonten und belie\u00dfen sie auf dem System. \u00dcber das Plugin-Framework von Artifactory installierten sie schadhafte Groovy-Plugins, die ihnen Codeausf\u00fchrung auf dem Server erm\u00f6glichten. In weiteren Schritten f\u00fchrten sie \u00fcber den Plugin-Ausf\u00fchrungs-Endpunkt Shell-Befehle aus, um das System zu erkunden und Dateien aufzulisten.<\/p>\n

Ein Dropper lud eine Bin\u00e4rdatei per HTTP herunter, schrieb sie in ein weltweit beschreibbares Verzeichnis wie \/tmp<\/code>codecodecodecode und \u00f6ffnete einen Command-and-Control-Kanal. In mehreren F\u00e4llen wurde zudem eine eigens entwickelte Rust-Backdoor mit C2-Funktionen abgelegt.<\/p>\n

Dritte Schwachstelle: CVE-2026-82329<\/h2>\n

Eine weitere Schwachstelle, CVE-2026-82329<\/strong>, wurde zwischen dem 1. und 8. September separat ausgebeutet. Sie ist der Grund, warum auch Server auf neueren Branches noch verwundbar sein k\u00f6nnen. Mit einem CVSS-Score von 9,8 gilt sie als kritisch. Sie umgeht die Authentifizierung in der Standardkonfiguration von Artifactory, ohne dass eine zus\u00e4tzliche L\u00fccke n\u00f6tig ist: Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann allein durch Ausnutzen dieser Schwachstelle Administratorrechte erlangen. Betroffen sind sechs Release-Branches bis einschlie\u00dflich 7.161.<\/p>\n

Bereits am 1. September wurde bekannt, dass Angreifer begannen, sich \u00fcber diese L\u00fccke selbst Administrator-Token auszustellen, nur Tage nachdem JFrog sie offengelegt hatte. Die US-Beh\u00f6rde CISA<\/a> nahm die Schwachstelle am 2. September<\/a> in ihren Katalog bekannter ausgenutzter Sicherheitsl\u00fccken auf und setzte eine Frist bis zum 5. September<\/a> f\u00fcr Bundesbeh\u00f6rden zur Behebung.<\/p>\n

Der Content-Delivery-Dienst Fastly verzeichnete am 2. September rund 406.000 Exploit-Versuche \u00fcber seine Plattform \u2013 gemessen am Verkehr, nicht an tats\u00e4chlichen Kompromittierungen. Auf Servern, die durch diese L\u00fccke eingenommen wurden, lasen Angreifer die Systemkonfiguration aus und entwendeten in mehreren F\u00e4llen den Cluster-Join-Key, das gemeinsame Geheimnis, mit dem sich Artifactory-Knoten untereinander registrieren.<\/p>\n

Betroffene Versionen und Patches<\/h2>\n

JFrog hat f\u00fcr jede CVE spezifische Fixversionen ver\u00f6ffentlicht. F\u00fcr CVE-2026-42018<\/strong> sind folgende Versionen als sicher markiert: 7.111.20, 7.117.27, 7.125.19, 7.133.28, 7.146.8. F\u00fcr CVE-2026-42016<\/strong> gilt ausschlie\u00dflich 7.133.11 als behoben \u2013 in den Sicherheitshinweisen wird kein separater Fix f\u00fcr andere Branches aufgef\u00fchrt. Ob ein sp\u00e4terer Build auf einem \u00e4lteren Branch, etwa 7.117.28, ebenfalls die L\u00fccke schlie\u00dft, ist nicht klar dokumentiert.<\/p>\n

F\u00fcr CVE-2026-82329<\/strong> empfiehlt JFrog die Aktualisierung auf die entsprechenden Fixversionen: 7.111.21, 7.117.28, 7.125.20, 7.133.29, 7.146.38, 7.161.20. Als Workaround f\u00fcr nicht sofort aktualisierbare Systeme kann ein zuf\u00e4llig generierter Wert als zus\u00e4tzlicher Join-Key in der Datei system.yaml<\/code>codecodecodecode eingetragen werden, sodass nur eigene Schl\u00fcssel bei der Registrierung eines Dienstes akzeptiert werden. F\u00fcr die beiden geketteten L\u00fccken gibt es in den aktuellen Sicherheitshinweisen keinen solchen Workaround.<\/p>\n

Was Patching nicht r\u00fcckg\u00e4ngig macht<\/h2>\n

Ein Update der Software entfernt nicht automatisch bereits erstellte Administratorkonten oder widerruft ausgestellte Token. Die Angreifer haben sowohl \u00fcber die Zwei-L\u00fccken-Kette als auch \u00fcber CVE-2026-82329 solche Konten angelegt. Fastly r\u00e4t daher, jeden exponierten Server als vollst\u00e4ndig kompromittiert zu betrachten: Ein Patch widerruft nicht bereits gem\u00fcnzte Token. Zus\u00e4tzlich sollten der Plattform-Join-Key rotiert, alle seit dem 28. August ausgestellten Zugangs-Token widerrufen sowie Administratorkonten, Repositories und Konfigurations\u00e4nderungen \u00fcberpr\u00fcft werden.<\/p>\n

Erkennungsm\u00f6glichkeiten<\/h2>\n

Das deutlichste Indiz f\u00fcr eine Kompromittierung ist ein Konto, das Aktionen ausf\u00fchrt, die seine Berechtigungen nicht erlauben sollten: etwa der interne anonyme Benutzer oder ein niedrig privilegiertes Konto, das Token erstellt, Benutzer auflistet oder Plugins liest und schreibt. Danach sollte nach Administratorkonten gesucht werden, die nicht absichtlich angelegt wurden. Viele der von Wiz beobachteten Konten trugen typische Proof-of-Concept-Namen wie 0xTerror<\/strong> oder Kombinationen aus svc_<\/strong> bzw. labadmin_<\/strong> mit zuf\u00e4lligen Zeichen. Einige waren jedoch getarnt und hie\u00dfen etwa jfrog-distribution<\/strong>, jfrog-insight<\/strong> oder repo-service<\/strong>. Der Wiz-Bericht listet konkrete Angreifer-Adressen sowie einen Payload-Hash auf.<\/p>\n

CVE-2026-42016 wurde am 27. Juli im Rahmen einer Reihe von Artifactory-Sicherheitshinweisen ver\u00f6ffentlicht, bei deren Analyse mehrere OpenAI-Forscher beteiligt waren. JFrog best\u00e4tigte im Juli, dass OpenAI-Modelle w\u00e4hrend einer internen Evaluierung eine Artifactory-Zero-Day-L\u00fccke ausgenutzt hatten \u2013 ohne jedoch mitzuteilen, welche CVE-Eintr\u00e4ge genau damit zusammenhingen.<\/p>\n

Die Vorf\u00e4lle unterstreichen, wie verwundbar Software-Lieferketten bleiben, wenn zentrale Infrastrukturkomponenten wie Artefakt-Repositories nicht konsequent auf dem neuesten Stand gehalten werden. Angreifer nutzen selbst kleine Zeitfenster zwischen Patch-Ver\u00f6ffentlichung und Massenbereitstellung, um sich dauerhaften Zugang zu verschaffen \u2013 und hinterlassen oft Spuren, die erst bei einer gr\u00fcndlichen forensischen Analyse sichtbar werden.<\/p>\n","protected":false},"excerpt":{"rendered":"

Eine Kette aus zwei Sicherheitsl\u00fccken in JFrog Artifactory, dem Repository, aus dem Software-Build-Pipelines ihre Abh\u00e4ngigkeiten beziehen, hat Angreifern erm\u00f6glicht, auf selbst gehosteten Servern die Administrator-Kontrolle zu \u00fcbernehmen und Hintert\u00fcren zu installieren. Das berichtet die Cloud-Sicherheitsfirma Wiz auf Grundlage von Angriffen, die zwischen dem 15. August und dem 8. September beobachtet wurden. JFrog hatte beide Schwachstellen […]<\/p>\n","protected":false},"author":5,"featured_media":55096,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51871.png","fifu_image_alt":"Hacker-Kette aus JFrog Artifactory L\u00fccken erm\u00f6glicht Admin-Zugriff und Backdoor","footnotes":""},"categories":[6671],"tags":[],"class_list":["post-51871","post","type-post","status-publish","format-standard","has-post-thumbnail","category-scherheit"],"fifu_image_url":"https:\/\/cards.overcentral.com\/cards\/de\/51871.png","fifu_image_alt":"Hacker-Kette aus JFrog Artifactory L\u00fccken erm\u00f6glicht Admin-Zugriff und Backdoor","_links":{"self":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51871","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/comments?post=51871"}],"version-history":[{"count":2,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51871\/revisions"}],"predecessor-version":[{"id":51873,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/posts\/51871\/revisions\/51873"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media\/55096"}],"wp:attachment":[{"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/media?parent=51871"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/categories?post=51871"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/overcentral.com\/de\/wp-json\/wp\/v2\/tags?post=51871"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}